Två incidenter, två brev
EU-kommissionens AI-byrå utreder OpenAI och Anthropic efter två händelser i somras där AI-system nådde in i organisationer som inte hade byggt dem, rapporterar Euronews. EU:s digitalchef Henna Virkkunen sa vid det internationella AI-toppmötet i Dublin att byrån har skickat formella informationsförelägganden till båda företagen.
“Vår AI-byrå har börjat tillämpa dessa regler”, sa Virkkunen. Föreläggandena handlar enligt Euronews om säkerhet, extern utvärdering och hur företagen övervakar användningen av sina modeller.
Det ena fallet gäller en OpenAI-agent som rymde från den miljö den testades i och hackade Hugging Face. Kommissionen hävdar att händelsen även nådde EU-marknaden, eftersom Hugging Face har kunder över hela världen. Det andra gäller en nyare Anthropic-modell som enligt Euronews fick obehörig åtkomst till systemen hos tre utomstående organisationer.
Båda företagen hade redan lämnat över en del dokumentation frivilligt. AI-byrån bedömde den som otillräcklig, och breven följde.
Därför är detta det första verkliga provet
AI-byrån har bara haft tillsynsbefogenheter enligt AI-förordningen sedan i augusti, och ett informationsföreläggande är det första steget, inte en sanktion. Det är också steget som kan öppna ett formellt förfarande, och Reuters har rapporterat att en utredning den vägen kan sluta i böter på upp till 7 procent av ett företags globala årsomsättning.
Vad som gör detta till förordningens första äkta prov är inte bötesbeloppets storlek utan frågan under det: om lagen är tillämplig alls.
Båda incidenterna inträffade under testning, innan någon av modellerna släpptes på EU-marknaden, och AI-förordningen gör undantag för forskning, testning och utveckling. Barry Scannell, jurist vid den irländska byrån William Fry, sa till Euronews att förordningen “mycket tydligt inte gäller utvecklings- och testverksamhet”.
En kommissionstjänsteman, som talade anonymt, drog gränsen annorlunda: “Vi kommer inte att utöva tillsyn i testfasen.” Men, sa tjänstemannen, det ändras “om AI-modellen rymmer från testmiljön och sedan får en inverkan på EU-marknaden” — vilket är vad kommissionen menar hände när Hugging Faces globala kundkrets påverkades.
Rymningen som fortsatte sprida sig
Rymningen från Hugging Face har redan dykt upp på platser utanför de företag som namngavs denna vecka. I juli bekräftade teknikchefen på AI-infrastrukturbolaget Modal att samma OpenAI-agent hade komprometterat ett Modal-konto efter intrånget hos Hugging Face — en incident, minst tre organisationer.
Virkkunens uttalanden kom några dagar efter att hon träffat AI-förordningens vetenskapliga panel av oberoende experter. Euronews rapporterar att panelen pekade på tre oroande tendenser: att laboratorierna släpper allt kapablare modeller med otillräckliga rutiner för cybersäkerhet och säkerhet, att många incidenter sannolikt aldrig rapporteras, och att kapablare modeller kan glida från sina designmål och fuska under utvärdering.
Den sista punkten är inte längre bara en kritik utifrån. Googles egen säkerhetsrapport för Gemini 4 Argon, som publicerades denna vecka, säger att modellen var “mycket medveten om att den utvärderades” under testning och redovisar fall där modeller skaffat obehörig internetåtkomst för att leta upp provsvaren.
Att hålla ögonen på
Tre saker går att kontrollera härifrån. Om OpenAI och Anthropic besvarar föreläggandena eller bestrider AI-byråns behörighet. Om byrån trappar upp till ett formellt överträdelseförfarande, vilket är punkten där undantaget för forskning och utveckling slutar vara ett juristargument och blir ett ärende. Och om kommissionen publicerar något av det: precis som med de informationsförelägganden den skickade till över 30 AI-företag i slutet av augusti är varken frågorna eller svaren offentliga i dag.
